Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\bfvzvrhc.exe'
- '<SYSTEM32>\svwkciab.exe'
- '<SYSTEM32>\mxdzgtsj.exe'
- '<SYSTEM32>\kblycapn.exe'
- '<SYSTEM32>\jxjzumuk.exe'
- '<SYSTEM32>\mebsfnnh.exe'
- '<SYSTEM32>\gwxgmikt.exe'
- '<SYSTEM32>\mzlstygz.exe'
- '<SYSTEM32>\hitvdjip.exe'
- '<SYSTEM32>\rxmsvydu.exe'
- '<SYSTEM32>\eilxtwgq.exe'
- '<SYSTEM32>\qxwrmmhu.exe'
- '<SYSTEM32>\cqpeslnj.exe'
- '<SYSTEM32>\dfxynknq.exe'
- '<SYSTEM32>\vnzjhzft.exe'
- '<SYSTEM32>\bxrstwgw.exe'
- '<SYSTEM32>\yefhwjqv.exe'
- '<SYSTEM32>\hpfueame.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\bfvzvrhc.exe
- <SYSTEM32>\svwkciab.exe
- <SYSTEM32>\kblycapn.exe
- <SYSTEM32>\bxrstwgw.exe
- <SYSTEM32>\mxdzgtsj.exe
- <SYSTEM32>\mebsfnnh.exe
- <SYSTEM32>\gwxgmikt.exe
- <SYSTEM32>\hitvdjip.exe
- <SYSTEM32>\jxjzumuk.exe
- <SYSTEM32>\mzlstygz.exe
- <SYSTEM32>\cqpeslnj.exe
- <SYSTEM32>\rxmsvydu.exe
- <SYSTEM32>\qxwrmmhu.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\hpfueame.exe
- <SYSTEM32>\vnzjhzft.exe
- <SYSTEM32>\yefhwjqv.exe
- <SYSTEM32>\eilxtwgq.exe
- <SYSTEM32>\dfxynknq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\bfvzvrhc.exe
- <SYSTEM32>\svwkciab.exe
- <SYSTEM32>\mxdzgtsj.exe
- <SYSTEM32>\kblycapn.exe
- <SYSTEM32>\jxjzumuk.exe
- <SYSTEM32>\mebsfnnh.exe
- <SYSTEM32>\gwxgmikt.exe
- <SYSTEM32>\mzlstygz.exe
- <SYSTEM32>\hitvdjip.exe
- <SYSTEM32>\rxmsvydu.exe
- <SYSTEM32>\eilxtwgq.exe
- <SYSTEM32>\qxwrmmhu.exe
- <SYSTEM32>\cqpeslnj.exe
- <SYSTEM32>\dfxynknq.exe
- <SYSTEM32>\vnzjhzft.exe
- <SYSTEM32>\bxrstwgw.exe
- <SYSTEM32>\yefhwjqv.exe
- <SYSTEM32>\hpfueame.exe
Удаляет следующие файлы:
- %TEMP%\~DF804B.tmp
- %TEMP%\~DF225D.tmp
- %TEMP%\~DFFA53.tmp
- %TEMP%\~DFC0E4.tmp
- %TEMP%\~DFE1E9.tmp
- %TEMP%\~DF997.tmp
- %TEMP%\~DFC9BF.tmp
- %TEMP%\~DFA7EC.tmp
- %TEMP%\~DF6829.tmp
- %TEMP%\~DF3A40.tmp
- %TEMP%\~DF2B0C.tmp
- %TEMP%\~DF60DE.tmp
- %TEMP%\~DF1941.tmp
- %TEMP%\~DF5B8B.tmp
- %TEMP%\~DFB119.tmp
- %TEMP%\~DFD8A9.tmp
- %TEMP%\~DF98CD.tmp
- %TEMP%\~DF5263.tmp
- %TEMP%\~DF12A8.tmp
- %TEMP%\~DF477C.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DFC106.tmp
- %TEMP%\~DF7D01.tmp
- %TEMP%\~DFF273.tmp
- %TEMP%\~DF5EBC.tmp
- %TEMP%\~DF1D2E.tmp
- %TEMP%\~DFA797.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DF1F73.tmp
- %TEMP%\~DFF0B2.tmp
- %TEMP%\~DFB18C.tmp
- %TEMP%\~DF8FB6.tmp
- %TEMP%\~DF4FEC.tmp
- %TEMP%\~DF776B.tmp
- %TEMP%\~DF9913.tmp
- %TEMP%\~DF5F85.tmp
- %TEMP%\~DF37BA.tmp
- %TEMP%\~DFD8F4.tmp
Сетевая активность:
Подключается к:
- 'localhost':1062
- 'localhost':1064
- 'localhost':1060
- 'localhost':1056
- 'localhost':1058
- 'localhost':1072
- 'localhost':1074
- 'localhost':1070
- 'localhost':1066
- 'localhost':1068
- 'localhost':1042
- 'localhost':1044
- 'localhost':1040
- 'localhost':1037
- 'pd###.egloos.com':80
- 'localhost':1052
- 'localhost':1054
- 'localhost':1050
- 'localhost':1046
- 'localhost':1048
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
